Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh kebijakan kontrol layanan untuk AWS Organizations and AWS RAM

AWS RAM mendukung kebijakan kontrol layanan (SCP). SCP adalah kebijakan yang Anda lampirkan ke elemen dalam organisasi untuk mengelola izin dalam organisasi tersebut. SCP berlaku untuk semua Akun AWS di bawah elemen tempat Anda melampirkan SC P. SCP menawarkan kontrol pusat atas izin maksimum yang tersedia untuk semua akun di organisasi Anda. Mereka dapat membantu Anda memastikan Anda Akun AWS tetap berada dalam pedoman kontrol akses organisasi Anda. Untuk informasi selengkapnya, lihat Kebijakan kontrol layanan di Panduan AWS Organizations Pengguna.

Prasyarat

Untuk menggunakan SCP, Anda harus terlebih dahulu melakukan hal berikut:

Contoh Kebijakan Pengendalian Layanan

Contoh berikut menunjukkan bagaimana Anda dapat mengontrol berbagai aspek berbagi sumber daya dalam suatu organisasi.

Contoh 1: Mencegah berbagi eksternal

SCP berikut mencegah pengguna membuat berbagi sumber daya yang memungkinkan berbagi dengan prinsipal yang berada di luar organisasi pengguna berbagi.

AWS RAM mengotorisasi API secara terpisah untuk setiap prinsip dan sumber daya yang tercantum dalam panggilan.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:UpdateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "ram:RequestedAllowsExternalPrincipals": "true"
                }
            }
        }
    ]
}

Contoh 2: Mencegah pengguna menerima undangan berbagi sumber daya dari akun eksternal di luar organisasi Anda

SCP berikut memblokir prinsipal apa pun di akun yang terpengaruh dari menerima undangan untuk menggunakan pembagian sumber daya. Berbagi sumber daya yang dibagikan ke akun lain di organisasi yang sama dengan akun berbagi tidak menghasilkan undangan dan karenanya tidak terpengaruh oleh SCP ini.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ram:AcceptResourceShareInvitation",
            "Resource": "*"
        }
    ]
}

Contoh 3: Izinkan akun tertentu untuk berbagi jenis sumber daya tertentu

SCP berikut hanya mengizinkan akun 111111111111 dan membuat pem 222222222222 bagian sumber daya baru yang berbagi daftar awalan Amazon EC2 atau untuk mengaitkan daftar awalan dengan pembagian sumber daya yang ada.

AWS RAM mengotorisasi API secara terpisah untuk setiap prinsip dan sumber daya yang tercantum dalam panggilan.

Operator StringEqualsIfExists mengizinkan permintaan jika permintaan tidak menyertakan parameter tipe sumber daya, atau jika memang menyertakan parameter itu, bahwa nilainya persis cocok dengan jenis sumber daya yang ditentukan. Jika Anda menyertakan kepala sekolah, Anda harus memilikinya...IfExists.

Untuk informasi lebih lanjut tentang kapan dan mengapa menggunakan ...IfExists operator, lihat... IfExists operator kondisi di Panduan Pengguna IAM.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:AssociateResourceShare",
                "ram:CreateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalAccount": [
                        "111111111111",
                        "222222222222"
                    ]
                },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "ec2:PrefixList"
                }
            }
        }
    ]
}

Contoh 4: Mencegah berbagi dengan seluruh organisasi atau dengan unit organisasi

SCP berikut mencegah pengguna membuat pembagian sumber daya yang berbagi sumber daya dengan seluruh organisasi atau dengan unit organisasi apa pun. Pengguna dapat berbagi dengan individu Akun AWS dalam organisasi, atau dengan peran atau pengguna IAM.

AWS RAM mengotorisasi API secara terpisah untuk setiap prinsip dan sumber daya yang tercantum dalam panggilan.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ram:Principal": [
                        "arn:aws:organizations::*:organization/*",
                        "arn:aws:organizations::*:ou/*"
                    ]
                }
            }
        }
    ]
}

Contoh 5: Izinkan berbagi hanya dengan prinsipal tertentu

Contoh berikut SCP memungkinkan pengguna untuk berbagi sumber daya dengan hanya unit organisasi o-12345abcdef, organisasiou-98765fedcba, dan Akun AWS 111111111111.

Jika Anda menggunakan "Effect": "Deny" elemen dengan operator kondisi dinegasikan, sepertiStringNotEqualsIfExists, permintaan masih ditolak meskipun kunci kondisi tidak ada. Gunakan operator Null kondisi untuk memeriksa apakah kunci kondisi tidak ada pada saat otorisasi.

AWS RAM mengotorisasi API secara terpisah untuk setiap prinsip dan sumber daya yang tercantum dalam panggilan.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ram:AssociateResourceShare",
        "ram:CreateResourceShare"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "ram:Principal": [
            "arn:aws:organizations::123456789012:organization/o-12345abcdef",
            "arn:aws:organizations::123456789012:ou/o-12345abcdef/ou-98765fedcba",
            "111111111111"
          ]
        },
        "Null": {
          "ram:Principal": "false"
        }
      }
    }
  ]
}

Contoh 6: Mencegah pembagian sumber daya dengan RetainSharingOnAccountLeaveOrganization diaktifkan

SCP berikut mencegah pengguna membuat atau memodifikasi berbagi sumber daya saat kunci ram:RetainSharingOnAccountLeaveOrganization kondisi disetel ketrue.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceShare",
                "ram:DisassociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "ram:RetainSharingOnAccountLeaveOrganization": "true"
                }
            }
        }
    ]
}